Nach der OWASP DevSecOps Guideline geht es bei DevSecOps darum, Sicherheit in DevOps einzubauen und fr\u00fch in das Schreiben und Testen von Software einzubringen, damit sie mit dem Tempo von CI\/CD mith\u00e4lt. Sicherheitsprobleme, ob Entwurfsfehler oder Schwachstellen in Anwendungen, sollen so fr\u00fch und so g\u00fcnstig wie m\u00f6glich erkannt und danach fortlaufend weiter erkannt<\/strong> werden. Auch der Baustein CON.8 des IT-Grundschutzes h\u00e4lt es f\u00fcr wesentlich, dass die Informationssicherheit \u00fcber den gesamten Software-Entwicklungsprozess hinweg ber\u00fccksichtigt wird und nicht erst in einer sp\u00e4teren Phase. F\u00fcr von NIS-2 erfasste Einrichtungen nennt das BSI als Sicherheitsma\u00dfnahme, dass bei der Entwicklung von Software und Systemen die Sicherheit von Anfang an im Sinne eines sicheren Entwicklungszyklus mitgedacht werden muss.<\/p>\n Ein Versicherer, der DevSecOps einf\u00fchrt, k\u00f6nnte etwa Sicherheitspr\u00fcfungen automatisiert in seine CI\/CD-Pipeline einbetten; dort lie\u00dfen sich auch Teile der Quellcodepr\u00fcfungen mit statischen und dynamischen Tests<\/strong> verankern, die Artikel 16 Absatz 3 der delegierten DORA-Verordnung f\u00fcr Finanzunternehmen im Testverfahren f\u00fcr IKT-Systeme vorsieht. Das Verfahren muss au\u00dferdem vorsehen, dass propriet\u00e4re Software und nach M\u00f6glichkeit der Quellcode von IKT-Drittdienstleistern oder aus Open-Source-Projekten vor der Einf\u00fchrung in der Produktionsumgebung analysiert und getestet werden.<\/p>\n Eine einfache DevSecOps-Pipeline kann nach der OWASP DevSecOps Guideline mit mehreren Pr\u00fcfschritten beginnen. Dazu z\u00e4hlt die Suche in Git-Repositories nach m\u00f6glichem Durchsickern von Zugangsdaten, die Software Composition Analysis (SCA), der statische Anwendungssicherheitstest (SAST) und das Scannen von Infrastructure-as-Code auf Fehlkonfigurationen<\/strong>. Die Schritte lassen sich an den Softwareentwicklungszyklus oder die Softwarearchitektur anpassen, und Automatisierung kann schrittweise erg\u00e4nzt werden.<\/p>\n Das BSI-Infopaket zu den NIS-2-Sicherheitsma\u00dfnahmen nennt als Beispiele f\u00fcr Sicherheitsprinzipien, die von Anfang an in die Entwicklung von Software und Systemen einbezogen werden, Eingabevalidierung, Verschl\u00fcsselung und minimale Berechtigungen<\/strong>.<\/p>\n DevSecOps ist nach OWASP das Einbringen von Sicherheit in DevOps. DevSecOps ersetzt DevOps also nicht, sondern baut auf einer DevOps-Pipeline auf und erg\u00e4nzt sie um Sicherheitskontrollen; damit Sicherheit mit dem Tempo von CI\/CD mith\u00e4lt, soll sie fr\u00fch in das Schreiben und Testen von Software eingebracht werden.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[425,426,393],"class_list":["post-34242","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-anwendungs-cloud-sicherheit","glossary_intl_topic-devsecops-ci-cd-lieferkette","glossary_intl_topic-cybersecurity"],"acf":{"card_description":"DevSecOps verlegt Sicherheitspr\u00fcfungen fr\u00fch in die CI\/CD-Pipeline, damit Sicherheitsprobleme in Software fr\u00fch erkannt werden.","nav_theme":"Anwendungs- & Cloud-Sicherheit","nav_subtheme":"DevSecOps, CI\/CD & Lieferkette","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"DevSecOps bedeutet, Sicherheit in DevOps einzubauen und Sicherheitspr\u00fcfungen fr\u00fch in die CI\/CD-Pipeline zu integrieren, mit dem Ziel, Sicherheitsprobleme so fr\u00fch und so g\u00fcnstig wie m\u00f6glich und fortlaufend zu erkennen.","at_a_glance":[{"bullet":"Das Ziel ist, Entwurfsfehler und Schwachstellen so fr\u00fch und so g\u00fcnstig wie m\u00f6glich zu finden und danach weiter zu suchen."},{"bullet":"Eine einfache Pipeline kann mit Pr\u00fcfungen auf Zugangsdaten in Git-Repositories, Komponentenanalyse, statischen Tests und Scans von Infrastructure-as-Code beginnen."},{"bullet":"F\u00fcr einen unter DORA fallenden Versicherer verlangt die delegierte DORA-Verordnung im Verfahren zum Testen von IKT-Systemen Quellcodepr\u00fcfungen mit statischen und dynamischen Tests; DevSecOps selbst schreibt sie nicht vor."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Entwicklungsteam erg\u00e4nzt seine Pipeline zun\u00e4chst um die Suche nach m\u00f6glichen Zugangsdaten in Git-Repositories und baut weitere Pr\u00fcfschritte nach und nach aus."},{"example":"Ein Team kombiniert f\u00fcr eine Anwendung statische und dynamische Tests als Quellcodepr\u00fcfung in seinem Entwicklungsablauf."},{"example":"Ein Versicherer k\u00f6nnte etwa Sicherheitspr\u00fcfungen als feste Schritte seiner CI\/CD-Pipeline einrichten, die helfen, Schwachstellen fr\u00fch zu erkennen."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34063,34253],"pillar_link":null,"sources":[{"publisher":"","name":"OWASP DevSecOps Guideline","url":"https:\/\/owasp.org\/www-project-devsecops-guideline\/","doc_type":"","group":"used"},{"publisher":"","name":"L_202401774DE.000101.fmx.xml","url":"https:\/\/publications.europa.eu\/resource\/cellar\/dc25b21e-328d-11ef-a61b-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Sicherheitsma\u00dfnahmen und Schwachstellenmanagement","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Regulierte-Wirtschaft\/NIS-2-regulierte-Unternehmen\/NIS-2-Infopakete\/NIS-2-Sicherheitsmassnahmen\/NIS-2-Sicherheitsmassnahmen_node.html","doc_type":"2026","group":"used"},{"publisher":"","name":"CON.8 Software-Entwicklung","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/IT-GS-Kompendium_Einzel_PDFs_2023\/03_CON_Konzepte_und_Vorgehensweisen\/CON_8_Software_Entwicklung_Edition_2023.pdf?__blob=publicationFile&v=3","doc_type":"2023","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-11"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie wird DevSecOps umgesetzt?<\/h2>\n
DevSecOps im Vergleich<\/h2>\n
Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n